Reveal URLs — Посібник користувача

Reveal URLs — це невелике розширення для браузера (і надбудова для Thunderbird), яке показує, куди насправді веде посилання у вашій електронній пошті, тож ви можете розпізнати фішингове посилання, перш ніж натиснути на нього.

Цей посібник пояснює, як установити Reveal URLs і як ним користуватися. Про те, як обробляються ваші дані, див. політику конфіденційності; технічний огляд того, як побудовано розширення, див. в огляді архітектури.

Знайшли помилку, посилання, яке було позначено неправильно (або пропущено), чи хост вебпошти, який мав би підтримуватися? Будь ласка, повідомте про це у трекері питань Codeberg.

Що він робить і навіщо

Фішинговий лист приховує ворожу адресу призначення за текстом посилання, що виглядає надійно. Іноді це схожий на справжній хост: текст читається як paypal.com, тоді як посилання вказує на paypa1.com. Часто це витонченіше — через трекер чи перенаправлювач, тож там, де ви опиняєтеся, немає нічого спільного з брендом, названим у тексті.

Phishing-лист, що видає себе за Укрпошту, стверджує, що посилку утримують, доки не буде сплачено прострочені митні збори, і спонукає до оплати через кнопку „Перейти до оплати“. Reveal URLs показує, що кнопка веде не до Укрпошти, а до parcel-pay.custom.co.xa, стороннього сайту, тим самим викриваючи повідомлення як шахрайство. — Reveal URLs викриває кнопку „Перейти до оплати“: вона веде на `parcel-pay.custom.co.xa`, а не до Укрпошти.

Примітка: Цей знімок екрана показує шахрайський фішинговий лист, що видає себе за Укрпошту. Укрпошта не пов’язана з Reveal URLs і не підтримує його.

Reveal URLs читає кожне посилання в повідомленні, що ви читаєте, і показує вам URL-адресу, на яку воно вказує. Коли хост, названий у тексті посилання, не збігається з хостом, на який посилання насправді вказує, Reveal URLs позначає його, тож невідповідність очевидна, перш ніж ви натиснете.

У браузерному розширенні та надбудові Thunderbird усе відбувається на вашому власному пристрої, нічого не передаючи. У кожній формі Reveal URLs не надсилає жодних ваших поштових даних ані нам, ані будь-якій третій стороні — немає жодної аналітики та жодного відстеження. (Форми різняться тим, де вони працюють і як обслуговується код панелі Outlook; див. розділ Конфіденційність і політику конфіденційності щодо повних подробиць.)

Підтримувані браузери та поштовий клієнт

Reveal URLs працює на:

Google Chrome
Microsoft Edge
Opera
Mozilla Firefox
Mozilla Thunderbird (настільний поштовий клієнт)

Збірка для Safari ще не випущена; вона запланована на пізніший етап.

На браузерних цілях Reveal URLs анотує посилання у вашій вебпошті. У Thunderbird він анотує посилання в листі, який ви читаєте, безпосередньо в поштовому клієнті.

Встановлення

Із магазину вашого браузера чи поштового клієнта (рекомендовано)

Установіть Reveal URLs із магазину для вашого браузера чи поштового клієнта. Списки для Chrome, Edge, Firefox і Thunderbird уже доступні; Opera використовує збірку Chrome, а окремий список для Opera ще в дорозі:

Chrome — Chrome Web Store
Edge — Доповнення Microsoft Edge
Opera — установіть версію Chrome з Chrome Web Store; окремий список для Opera з'явиться незабаром
Firefox — Доповнення Firefox (AMO)
Thunderbird — Доповнення Thunderbird (ATN)

Самостійне завантаження збірки (розробники та раннє тестування)

Якщо ви зібрали Reveal URLs із вихідного коду, ви можете завантажити розпаковану збірку безпосередньо. Кожну ціль зібрано командою make і створено в dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Потім завантажте отриману теку:

Chrome — відкрийте chrome://extensions, увімкніть Режим розробника, натисніть Завантажити розпаковане та виберіть dist/chrome.
Edge — відкрийте edge://extensions, увімкніть Режим розробника, натисніть Завантажити розпаковане та виберіть dist/edge.
Opera — відкрийте opera://extensions, увімкніть Режим розробника, натисніть Завантажити розпаковане та виберіть dist/opera.
Firefox — відкрийте about:debugging, виберіть Цей Firefox, натисніть Завантажити тимчасове доповнення та виберіть будь-який файл у dist/firefox (наприклад його manifest.json). Тимчасове доповнення видаляється, коли Firefox перезапускається.
Thunderbird — установіть тимчасове доповнення з dist/thunderbird тим самим способом (через Інструменти → Інструменти розробника → Налагодити доповнення → Завантажити тимчасове доповнення).

Сторінка налаштувань відкривається автоматично під час першого встановлення розширення.

Використання

За замовчуванням Reveal URLs анотує посилання в повідомленнях у вбудованих провайдерах — жодного налаштування не потрібно:

Gmail (mail.google.com)
Outlook Live (outlook.live.com)
Outlook у вебі / Microsoft 365 (outlook.office.com)
Proton Mail (mail.proton.me)

Анотація обмежена тілом повідомлення, тож власний інтерфейс застосунку — його бічна панель, вікно створення й панелі інструментів — залишається незайманим. У Thunderbird охоплено весь відображений лист.

Два режими показу

Ви вибираєте, як показується справжня URL-адреса, у розділі Показувати URL-адресу на сторінці налаштувань:

Вбудовано — справжня URL-адреса показується окремим рядком, безпосередньо над текстом посилання. Це типовий режим.
У підказці посилання (title) — справжня URL-адреса розміщується в підказці посилання, тож вона з'являється, коли ви наводите курсор на посилання.

Виділення невідповідностей

Коли хост, названий у видимому тексті посилання, не збігається з хостом, на який посилання насправді вказує, Reveal URLs позначає його як невідповідність. Порівняння виконується за реєстрованим доменом, тож чесний піддомен, як-от mail.example.com для example.com, не позначається, тоді як схожий на справжній, як-от paypa1.com для paypal.com, позначається.

У режимі вбудовано невідповідність показується у вибраному вами кольорі невідповідності та напівжирним.
У режимі підказки (title) поряд із посиланням додається характерний значок ⚠ URL mismatch.

Цим керують два пов'язані налаштування:

Виділяти невідповідні посилання вмикає або вимикає акцент на невідповідності.
Анотувати лише невідповідні посилання залишає чесні посилання цілком незайманими, тож розкриваються лише підозрілі.

Кнопка на панелі інструментів

У Chrome, Edge, Opera, Firefox і Thunderbird піктограма Reveal URLs на панелі інструментів — це швидкий перемикач увімк./вимк. — натисніть її, щоб перемкнути анотацію. Коли розширення вимкнено, на піктограмі з'являється значок OFF, а підказка повідомляє, чи ввімкне його натискання, чи вимкне. У браузерах зміна набуває чинності в усіх відкритих вкладках одночасно; у Thunderbird вона застосовується до наступного повідомлення, яке ви відкриєте.

(У Thunderbird кнопка показує лише свою піктограму, тож залишається компактною в об'єднаній панелі інструментів. Ви також можете вмикати й вимикати Reveal URLs перемикачем Увімкнути на сторінці налаштувань.)

Сторінка налаштувань

Сторінка налаштувань містить кожну опцію. Відкрийте її зі сторінки розширень вашого браузера (наприклад Подробиці → Опції розширення), або вона відкривається автоматично під час першого встановлення.

Увімкнути Reveal URLs — головний вимикач, у самому верху сторінки. Він набуває чинності негайно, без потреби зберігати решту форми.
Мова відображення — виберіть мову, якою показується сторінка налаштувань. За замовчуванням вона слідує за мовою вашого браузера, повертаючись до англійської; виберіть іншу зі списку, щоб перевизначити її. Ваш вибір набуває чинності одразу, запам'ятовується наступного разу й зберігається лише на цьому пристрої (він ніколи не змінює решту ваших налаштувань).
Показувати URL-адресу — виберіть режим «вбудовано» або «підказка (title)» (див. вище).
Виділяти невідповідні посилання — увімкніть або вимкніть акцент на невідповідності.
Колір невідповідності — CSS-колір, який використовується для позначеного посилання (наприклад red, #cc0000 або rgb(200, 0, 0)). Типовий — червоний.
Колір відповідності — колір розкритої URL-адреси на чесних (невідповідних) посиланнях (наприклад black або #1a1a1a). Типовий — нейтральний дуже темно-сірий (#1a1a1a), вибраний так, щоб колір не натякав, що посилання перевірене.
Анотувати лише невідповідні посилання — залиште чесні посилання незайманими.
Ігнорувати ці хости — список імен хостів, які повністю пропускати, по одному на рядок. Піддомени вказаного хоста також пропускаються.
Максимальна довжина показаної URL-адреси — довгі URL-адреси обрізаються після цієї кількості символів, зберігаючи хост видимим. Дозволений діапазон: від 20 до 2000.
Розмір / товщина шрифту показаної URL-адреси та Розмір / товщина шрифту значка попередження — необов'язкові перевизначення типографіки; залиште порожнім, щоб зберегти типові значення.

Окрім головного вимикача Увімкнути та елементів керування Активні сайти (які застосовуються негайно), зміни зберігаються кнопкою Зберегти налаштування.

Активні сайти — додавання власної вебпошти

Розділ Активні сайти, угорі сторінки налаштувань, перелічує сторінки, на яких працює Reveal URLs, і контейнер, що містить тіло кожного повідомлення.

Кожен рядок показує:

шаблон відповідності сайту (наприклад https://mail.example.com/*);
перемикач Увімкнено;
селектор тіла повідомлення (CSS-селектор контейнера, який анотує Reveal URLs), який ви можете редагувати;
перемикач Вкладені фрейми, для сайтів, тіло повідомлення яких відображається в iframe;
кнопку Видалити (лише для ваших власних сайтів).

Вбудовані провайдери (Gmail, Outlook і Proton) можна вимкнути та перенаправити, але їх неможливо видалити.

Щоб додати власний сайт вебпошти:

У розділі Додати сайт введіть URL-адресу відповідності — шаблон відповідності, як-от https://mail.example.com/*.
Введіть Селектор тіла повідомлення — CSS-селектор контейнера, що містить тіло повідомлення, наприклад .message-body.
Якщо тіло повідомлення відображається у вкладеному фреймі, поставте позначку Виконувати також у вкладених фреймах.
Натисніть Додати сайт. Ваш браузер попросить дозволу на доступ до цього сайту; надайте його. Сайт додається лише після того, як ви надасте дозвіл.

Зміни тут застосовуються негайно. Видалення сайту, який ви додали, також відкликає його дозвіл, тож Reveal URLs припиняє доступ до нього.

Thunderbird (та інші поштові клієнти). Thunderbird уже показує кожне повідомлення, яке ви читаєте, хоч би який був провайдер, тож йому не потрібен список за хостами. Розділ Активні сайти тому не показується на сторінці налаштувань Thunderbird — з'являються лише головний вимикач, мова відображення, режим показу, кольори, шрифти та список ігнорування. Будь-яка конфігурація активних сайтів, яку ви могли встановити в браузері, зберігається незайманою: збереження налаштувань Thunderbird ніколи її не очищає.

Надбудови Outlook і Gmail

Поряд із браузерним розширенням і надбудовою Thunderbird, Reveal URLs постачається як рідна надбудова для двох поштових застосунків, до яких браузерне розширення не може дістатися: надбудова Outlook і надбудова Gmail. Обидві використовують те саме виявлення посилань, що й розширення, тож вони розкривають ті самі URL-адреси й позначають ті самі схожі на справжні хости.

Єдина відмінність — у тому, як вони показують свої знахідки. Браузерне розширення анотує посилання на місці — розфарбовуючи URL-адресу над кожним посиланням або поряд із ним. Фреймворки Outlook і Gmail не дозволяють надбудові змінювати відображене повідомлення, тож натомість кожна надбудова показує бічну панель (Outlook) або картку (Gmail) зі списком знайдених посилань. Для кожного посилання вона показує видимий текст, URL-адресу призначення та реєстрований хост, і позначає невідповідність, коли видимий текст називає інший реєстрований домен, ніж той, на який посилання насправді вказує.

Надбудова Outlook — панель завдань, яка читає відкрите вами повідомлення та аналізує його на вашому власному пристрої; жодні поштові дані чи дані повідомлень нікуди не надсилаються. Код її панелі завдань (HTML, JavaScript, CSS і піктограми) завантажується з https://www.reveal-urls.eu через HTTPS, як і відбувається, коли ви відкриваєте будь-яку вебсторінку. Вона охоплює Outlook у вебі, Windows, Mac, iOS та Android, а також Outlook.com.
Надбудова Gmail — картка в бічній панелі Gmail. Відкрийте повідомлення, потім натисніть піктограму Reveal URLs у правій бічній панелі, щоб побачити його посилання: Gmail не відкриває картку самостійно, але якщо ви залишите панель відкритою, вона оновлюється, коли ви переходите між повідомленнями. URL-адреса кожного посилання показана нейтральним темно-сірим для чесного посилання й червоним для схожого на справжнє. Вона охоплює Gmail у вебі, Android та iOS. На відміну від інших форм, надбудова Gmail працює на серверах Google (саме так працюють надбудови Gmail): відкрите вами повідомлення читається й перевіряється там, щоразу коли ви його відкриваєте, і не зберігається. Див. політику конфіденційності щодо того, до чого кожна форма отримує доступ і що зберігає.

Обидві надбудови будуть поширюватися через свої магазини застосунків — надбудова Outlook через Microsoft AppSource, надбудова Gmail через Google Workspace Marketplace. Публікація очікується; прямі посилання для встановлення буде додано тут, щойно кожен список стане активним.

Мови

Reveal URLs доступний англійською та багатьма іншими мовами.

Сторінка налаштувань автоматично слідує за мовою вашого браузера, повертаючись до англійської, коли ваша мова не є однією з наведених вище. Ви можете перевизначити її будь-коли перемикачем Мова відображення біля верху сторінки; ваш вибір запам'ятовується на цьому пристрої (див. Сторінка налаштувань).
Цей вебсайт (домашня сторінка та ці сторінки документації) також визначає мову вашого браузера й пропонує перемикач мов у заголовку. Сторінки посібника та конфіденційності доступні перекладеними; там, де сторінка ще не має перекладу, вона показується англійською.

Неанглійський текст машинно перекладений і очікує перевірки людиною, тож фраза може подекуди читатися незграбно; значення покликане відповідати англійському оригіналу. Якщо ви помітили хибний переклад, будь ласка, відкрийте питання у трекері питань Codeberg.

Конфіденційність

Reveal URLs не надсилає жодних ваших поштових даних чи даних повідомлень ані нам, ані будь-якій третій стороні, у жодній зі своїх форм — немає жодної аналітики та жодного відстеження. Як і де відбувається робота, залежить від форми:

Браузерне розширення та надбудова Thunderbird працюють цілком на вашому власному пристрої й нічого не передають: вони читають текст посилань, URL-адреси та кольори сторінки в міру її відображення, ніколи не зберігаючи й не надсилаючи їх.
Надбудова Outlook аналізує відкрите повідомлення на вашому власному пристрої й не надсилає нікуди жодних поштових даних чи даних повідомлень; код її панелі завдань (HTML, JavaScript, CSS і піктограми) завантажується з https://www.reveal-urls.eu через HTTPS, як і відбувається, коли ви відкриваєте будь-яку вебсторінку.
Надбудова Gmail працює на власних серверах Google (саме так працюють надбудови Gmail): відкрите повідомлення читається й перевіряється там, щоразу коли ви його відкриваєте, і не зберігається.

Єдине, що зберігається, — це ваші власні налаштування (як-от увімкнено/вимкнено, режим показу, кольори, розміри шрифтів, ваш список ігнорування та будь-які додані вами сайти), які зберігаються у сховищі вашого браузера, Outlook чи Google для кожного користувача й ніколи не надсилаються нам.

Див. політику конфіденційності щодо повних подробиць.

Усунення несправностей

Посилання не розкривається.

Перевірте, що Reveal URLs увімкнено — піктограма на панелі інструментів не повинна показувати значок OFF, а перемикач Увімкнути Reveal URLs на сторінці налаштувань має бути ввімкнений.
Перевірте, що сайт охоплено. Вбудовані провайдери (Gmail, Outlook, Proton) працюють «з коробки»; будь-яку іншу вебпошту потрібно додати в розділі Активні сайти з її URL-адресою відповідності та селектором тіла повідомлення.
Перевірте селектор тіла повідомлення. Якщо він не збігається з контейнером, що містить тіло повідомлення, посилання всередині цього контейнера не розкриватимуться.
Зауважте, що посилання на внутрішньосторінкові якорі та посилання, що використовують схеми, відмінні від http/https (як-от mailto:), навмисно пропускаються — як і хости з вашого списку Ігнорувати ці хости.

Вбудований провайдер перестав працювати після редизайну.

Провайдери вебпошти час від часу змінюють розмітку своїх сторінок. Якщо селектор вбудованого провайдера більше не збігається після такої зміни, ви можете виправити його самостійно: у розділі Активні сайти відредагуйте селектор тіла повідомлення цього провайдера на новий контейнер.

Підказка з URL-адресою не показується.

У режимі підказки (title) справжня URL-адреса розміщується в підказці посилання, тож вона з'являється лише коли ви наводите курсор на посилання. Якщо ви волієте бачити URL-адресу без наведення, перемкніть Показувати URL-адресу у режим «вбудовано».

Ліцензія та вихідний код

Reveal URLs — вільне програмне забезпечення, ліцензоване за GNU Affero General Public License v3.0 (AGPL-3.0-only).

Вихідний код: https://codeberg.org/Magentron/reveal-urls
Технічний огляд: Архітектура
Додаткове читання про фішинг через посилання: Email link phishing: your app should always show the URL